Windows系統(tǒng)內核Rootkit的檢測技術研究.pdf

1、隨著計算機技術的快速發(fā)展和互聯(lián)網(wǎng)的迅速普及，計算機系統(tǒng)將會面臨越來越多的病毒、木馬、蠕蟲等惡意代碼的威脅，殺毒軟件和惡意代碼也大量使用一種稱之為內核Rootkit的技術，從而使它們之間的對抗也深入到Windows操作系統(tǒng)的內核。
　　 對內核函數(shù)和內核函數(shù)地址表，如系統(tǒng)服務描述符表和中斷描述符表，進行完整性檢查可以檢測內核Rootkit，但是這種方法無法定位內核的執(zhí)行流程被重定向到哪個函數(shù)，并且會產生大量的漏報和誤報，導致普通用

2、戶無法辨別。Windows系統(tǒng)中一些未公開的內核數(shù)據(jù)結構也可以用于內核Rootkit檢測，但是內核Rootkit也可以使用這些內核數(shù)據(jù)結構，繞過這種檢測方法。
　　 針對Windows系統(tǒng)內核Rootkit的特點，在研究現(xiàn)有檢測方法和工具的基礎上，結合對大量的Rootkit樣本和WRK源碼的研究，對基于外聯(lián)掛鉤的內核Rootkit、基于內聯(lián)掛鉤的內核Rootkit以及基于直接內核對象操作的Rootkit分別提出對應的檢測方法，設